سرقت ۴۵,۰۰۰ واحد اتر از طریق حدس کلید خصوصی!
بر اساس گزارش منتشر شده توسط تحلیلگران امنیت شرکت Independent Security Evaluators در تاریخ ۲۳ آوریل، یک «راهزن بلاک چینی» از طریق حدس کلیدهای خصوصی ضعیف، موفق به سرقت تقریبا ۴۵,۰۰۰ واحد اتر (ETH) شده است.
یک تحلیلگر امنیت به نام آدریان بدنارک (Adrian Bednarek)، به طور تصادفی این هکر ماهر را پیدا کرده است. در حالی که حدس کلید خصوصی به لحاظ آماری بعید به نظر می رسد، این هکر در تحقیقات خود، موفق به کشف ۷۳۲ کلید خصوصی شده و این امکان انجام معاملات، به عنوان صاحب اصلی حساب را برای او ایجاد کرده است.
بر اساس گزارش مذکور، در این هک به جای استفاده از جستجوی تصادفی یا بروت فورس (brute force) برای پیدا کردن کلیدهای خصوصی تصادفی، ترکیبی از جستجو برای کد معیوب و مولد عدد تصادفی معیوب به کار گرفته شده است.
بدنارک همچنین متوجه حجم زیاد تراکنش های یک طرفه ای شد که برخی از کیف پول های مربوط به کلیدهای خصوصی فاش شده به یک آدرس واحد داشتند. او می گوید:
صاحب این آدرس، به برخی از کلیدهایی که به آن دسترسی داشتیم دستبرد می زد. ما ۷۳۵ کلید خصوصی را کشف کردیم که او از ۱۲ مورد آن ها، سرقت کرده بود. از نظر آماری حدس زدن این کلیدهای خصوصی غیرمحتمل است، اما او احتمالا از طریق حدس و گمان این سرقت را انجام داده است […] او اساسا این سرمایه را به محض ورود به کیف پول ها، جابجا کرده است.
در اوج قیمت اتریوم، میزان دستاورد این سارق بیش از ۵۰ میلیون دلار برآورد می شود. در زمان نگارش این مطلب، ارزش وجوه به سرقت رفته چیزی حدود ۷.۸ میلیون دلار است.
طبق گفته بدنارک، احتمالا دلیل آسیب پذیری این کلیدهای خصوصی وجود خطاهای کدنویسی در نرم افزار مربوطه بوده است. احتمال این نیز می رود که صاحبان ارزهای دیجیتال که از طریق گذرواژه کلید خصوصی را دریافت می کنند، با استفاده از ورودی های ضعیفی نظیر (abc123) و یا خالی نگه داشتن قسمت رمز عبور، کلیدهای خصوصی یکسانی را تولید کرده باشند.
گرچه هویت این سارق بلاک چینی ناشناس است، اما بدنارک می گوید که ممکن است یک عامل دولتی مانند کره شمالی پشت این اقدام باشد. در ماه مارس، شورای امنیت سازمان ملل متحد در گزارشی ادعا کرد که این دولت منزوی که در حال تلاش برای متوقف کردن مجازات تحریم های اقتصادی است، از طریق حملات هک اقدام به جمع آوری ۶۷۰ میلیون دلار سرمایه در قالب پول فیات و ارزهای دیجیتال کرده است.
اگر دو نفر کلید خصوصی ، یک کیف پول را داشته باشند ، مالکیت با چه کسی است؟